Hacker kraakt Twitter twee uur na aanmelding
Beveiligingsonderzoeker Robert Hansen, beter bekend als RSnake, had twee uur nodig om een lek in Twitter te vinden, de 'micro blogging' dienst had echter negentig minuten nodig om de kwetsbaarheid te repareren. Hansen wilde met een "bang" zijn introductie op Twitter maken en dacht dat de dienst kwetsbaar voor Cross-site request forgery (CSRF) zou zijn. En de onderzoeker kreeg gelijk, want een slecht beveiligingsmodel in het crossdomain.xml bestand zorgde ervoor dat hij via een cross-site scripting lek in een site die Twitter als een "trusted domain" zag, de dienst kon aanvallen.
Twitter was niet zo blij met deze vorm van full-disclosure en had liever gehad dat Hansen de dienst op een "nette" manier had ingelicht. Toch wist men het probleem binnen negentig minuten te repareren.
Er zijn groottere bedrijven die er veel langer over doen :)
En inderdaad, eerst inlichten. Dan repareren en dan naar buiten ermee.
Of als men het na een week nog niet gerepareerd heeft alsnog publiceren.
and not seconds. Still an impressive response, but not quite Light Speed
Remediation
De reparatie kostte 90 seconden, niet minuten.
Nice Job!!
JK.
UPDATE: Rsnake tells me I got the “90? right. Unfortunately,
it was minutes and not seconds. Still an impressive
response, but not quite Light Speed Remediation.
manier dacht die.
hm, als twitter niet reageerd, dan moet het maar op de harde
manier dacht die.
jij dat?
veel groter hoofd EN Assumption is the mother of all f*ckups.
Maar dat terzijde.
Overigens 'raar' dat een Hollander hier mee komt. Twitter
bestaat al even en is vooral 'hot' onder de Amerikanen. Je
zou verwachten (ik althans) dat die ook al van alles
geprobeerd hebben om er gaten in te schieten.
Zijn zij nu zo traag/dom/kuddedieren (doorstrepen wat niet
van toepassing is), of ons Hollanders zo snel/goed/1337/etc
en bij de pinken?
/me gokt op het laatste :)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
